引言

在加拿大数字隐私权的一项重要判决中，不列颠哥伦比亚省（BC省）上诉法院驳回了 Clearview AI Inc. 的上诉，确认该省的隐私立法适用于收集不列颠哥伦比亚省居民数据的外国科技公司。Clearview AI Inc. v. British Columbia (Information and Privacy Commissioner), 2026 BCCA 67 一案的判决，加强了信息与隐私专员（下称“专员”）监管从互联网获取个人信息行为的权力，即使该公司在该省没有实体存在。

该裁决解决了数字时代关于省法律适用范围的根本问题，特别是涉及《个人信息保护法》（PIPA）的问题。

案件背景与事实

Clearview AI Inc. 是一家总部位于美国的科技公司，运营着一个人脸识别搜索引擎。正如判决书中所详述，Clearview 的软件从 YouTube、Facebook 和 Instagram 等公开访问的网站上抓取人脸及其关联的元数据。到2017年，该公司已积累了30亿张人脸图像的数据库，到2023年增长至300亿张。

Clearview 主要向执法机构推销其服务，允许他们上传相关人员的照片并从网络上接收匹配的图像。在加拿大隐私专员进行联合调查后，BC省专员命令 Clearview 停止在BC省提供服务，停止收集BC省居民的图像，并删除现有数据。

Clearview 寻求司法审查，辩称作为一个美国实体，PIPA 不适用于其运营，而且即使适用，这些信息也是公开可用的，因此免于同意要求。卑诗省最高法院驳回了该申请，从而引发了本次上诉。

管辖权挑战

上诉的核心问题是 PIPA 是否在宪法上适用于 Clearview。该公司辩称其与不列颠哥伦比亚省缺乏充分的联系，因为其运营完全在加拿大境外进行，且它对其抓取数据的个人的所在地漠不关心。

上诉法院驳回了这一论点，应用了在 Unifund Assurance Co. v. Insurance Corp. of British Columbia 一案中确立的“真实且实质的联系”测试。Iyer 法官代表法院撰文裁定，虚拟联系足以确立管辖权。法院指出，Clearview 的商业模式依赖于一个不可避免地包含不列颠哥伦比亚省居民的全球数据集。通过主动抓取BC省居民的数据以建立其商业数据库，Clearview 与该省建立了充分的联系。法院强调，互联网并没有创造一个外国实体可以无视当地隐私保护的“法外之地”。

“公开可用”的论点

Clearview 抗辩的一个关键方面是声称这些图像是从公共网站抓取的，因此属于 PIPA 中的“公开可用”例外情况。PIPA 第 12(1)(e) 条允许在信息来自规定来源的情况下无需同意即可收集。

法院支持了专员对 PIPA 法规的严格解释。法规列出了具体的来源，如杂志、书籍和报纸。法院推断社交媒体平台不同于这些传统出版物。虽然报纸是由作者创作的，但社交媒体内容是由用户生成的，用户对其图像保留了一定程度的控制权和隐私利益。因此，法院认定从社交媒体大规模抓取生物识别数据不符合公开可用豁免的条件。

合理目的分析

根据 PIPA，组织只能出于理性人认为适当的目的收集、使用或披露个人信息。Clearview 辩称其目的——协助执法——是合理的。

法院不同意这一观点，支持专员的调查结果，即私人实体对个人进行大规模识别和监控构成了对隐私的不合理侵犯。该判决强调，对执法的潜在好处并不能超过对个人隐私和自主权的重大损害。这种在主体不知情或未同意的情况下发生的收集行为具有不加区分的性质，使得该目的根据法规被视为不合理。

对BC省和加拿大法律的影响

这一判决对国际数据隐私具有深远的影响。它确认外国公司不能仅仅通过将服务器和办公室设在境外来逃避加拿大隐私法。如果一个组织的数字活动严重影响不列颠哥伦比亚省居民的隐私权，当地法院和监管机构将主张管辖权。

此外，该裁决澄清了“公开可用”数据例外的界限。企业不能假设仅仅因为信息在线可访问，就可以用于商业开发。传统出版物与用户生成的社交媒体内容之间的区别开创了一个先例，保护个人的数字足迹免受未经授权的抓取。

给组织的实用建议

对于在数字领域运营的企业，此案就数据合规性发出了至关重要的警告：

这一判决强调，在不列颠哥伦比亚省，隐私权被视为具有准宪法性质，法院将广泛解释立法，以保护该权利免受不断演变的技术威胁。

  • 管辖权广泛： 不要假设缺乏实体存在就能使您的组织免受省级隐私法的约束。如果您处理居民的数据，您很可能需要遵守当地法规。
  • 公开不意味着： 审查您的数据抓取做法。在社交媒体或公共网站上发现的信息并不会自动免除同意要求。
  • 合理性测试： 进行隐私影响评估，以确保您收集个人信息的行为符合理性人测试。商业效用并不能自动验证隐私侵犯的合理性。
  • 补救命令： 请注意，监管机构有权命令删除数据和停止商业活动，法院也愿意广泛执行这些命令，包括要求尽最大努力删除数据。